Linux权限控制的基本原理

打开 read user id 的显示选项：

a. 在 top 命令运行期间,输入 f,可以看见类似如下行：

b. 输入 c 即可打开 Real user name 的显示开关.

c. 最后 Return 回车回到 top 中,即可看到 real user id 的选项.此时输入`o`,可调整列次序.最终我们可看到包含`effective user id`和`real user id`的输出如下：

进程访问文件的权限控制策略

规则

进程访问文件大致权限控制策略

对于进程访问文件而言,最重要的是 euid,所以其权限属性均以 euid 为 “中心”.

• 进程的 euid 一般默认即为 其 ruid 值
• 若可执行文件的可执行权限位为 s,进程对其调用 exec 后,其 euid 被设置为该可执行文件的 user id
• 进程的 saved set user id 拷贝自 euid.
• 当进程的 euid 与文件的 user id 匹配时,进程才具有文件 user 权限位所设定的权限
• 组权限 egid 的控制规则类似.

通过 exec 执行文件修改权限属性

通过 exec 调用可执行文件之时：

• 进程 ruid 值始终不变；
• saved set-user ID 始终来自 euid ；
• euid 值取决于文件的 set-user-ID 位是否被设置.

如下：

通过 setuid(uid) 系统调用修改权限属性

通过 setuid(uid) 修改权限属性之时：

• superuser 可顺利修改 ruid,euid,saved set-user ID ；
• unprivileged user 只能在 uid 与 ruid 相等时修改 euid,其它无法修改.

举例

再举几个比较特别的例子：

设置了 set-user-id

如前所述,这个输出的含义是,对于 /usr/bin/sudo 文件,

• 第 1~3 位的 rws 表示该文件可被它的 owner(属主)以 r 或 w 或 s 的权限访问
• 第 4~6 位的 r-x 表示该文件可被与该文件同一属组的用户以 r 或 x 的权限访问.
• 第 7~9 位的 r-x 表示该文件可被其它未知用户以 r 或 x 的权限访问.

这样设置之后,对于 owner,具有读、写、执行权限,这一点没有什么不同.但是对于不属于 root 组的普通用户进程来说,却大不相同.

普通用户进程执行 sudo 命令时通过其 others 中的 x 获得执行权限,再通过 user 中的 s 使得普通用户进程临时具有了 sudo 可执行文件属主 ( root ) 的权限,即超级权限.

这也是为什么通过 sudo 命令就可以让普通用户执行许多管理员权限的命令的原因.

设置了 stick-bit

这样设置之后,对于 /tmp 目录,任何人都具有读、写、执行权限,这一点没有什么不同.但是对于 others 部分设置了粘滞位 t,其功能却大不相同.

若目录没设置粘滞位,任何对目录有写权限者都则可删除其中任何文件和子目录,即使他不是相应文件的所有者,也没有读或写许可 ; 设置粘滞位后,用户就只能写或删除属于他的文件和子目录.

这也是为什么任何人都能向 /tmp 目录写文件、目录,却只能写和删除自己拥有的文件或目录的原因.

举一个 man 程序的应用片断,描述 set-user-id 和 saved set-user-id 的使用

man 程序可以用来显示在线帮助手册,man 程序可以被安装指定 set-user-ID 或者 set-group-ID 为一个指定的用户或者组.

man 程序可以读取或者覆盖某些位置的文件,这一般由一个配置文件 (通常是 /etc/man.config 或者 /etc/manpath.config ) 或者命令行选项来进行配置.

man 程序可能会执行一些其它的命令来处理包含显示的 man 手册页的文件.

为防止处理出错,man 会从两个特权之间进行切换：运行 man 命令的用户特权,以及 man 程序的拥有者的特权.

需要抓住的主线：当只执行 man 之时,进程特权就是 man 用户的特权,当通过 man 执行子进程(如通过 !bash 引出 shell 命令)时,用户切换为当前用户,执行完又切换回去.

（编辑：网站开发网_盐城站长网 ）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!